PT-2026-24254 · Oneuptime · Oneuptime

Iconnnjka · CVE-2026-30958 · Publicado 2026-03-10 · Atualizado 2026-06-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do OneUptime anteriores à 10.0.21

Descrição O OneUptime é uma solução para monitoramento e gerenciamento de serviços online. Existe uma vulnerabilidade de path traversal no endpoint da API /workflow/docs/:componentName, permitindo a leitura não autenticada de arquivos arbitrários do sistema de arquivos do servidor. O parâmetro de rota componentName é concatenado diretamente em um caminho de arquivo e passado para a função res.sendFile() dentro do arquivo orker/FeatureSet/Workflow/Index.ts sem qualquer sanitização ou verificação de autenticação.

Recomendações Atualize para a versão 10.0.21 ou posterior.

Exploit

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-30958

GHSA-P2WH-9PW8-HVFF

Produtos afetados

Oneuptime

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/30xxx/CVE-2026-30958.json · Exploit
• https://github.com/OneUptime/oneuptime/security/advisories/GHSA-p2wh-9pw8-hvff · Aviso do Fabricante
• https://github.com/OneUptime/oneuptime/releases/tag/10.0.21 · Nota
• https://twitter.com/pdnuclei_bot/status/2071821070928154979 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-30958 · Nota de Segurança
• https://t.me/cveNotify/155276 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2033995745100021828 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2033994303748644965 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-30958 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2032168482570174823 · Publicação no Twitter